Guide d'utilisation Annuler

Résolution des erreurs de connexion par Federated ID (SSO)

Rechercher

Dernière mise à jour le 19 août 2024

Adobe Entreprise et Équipes : Guide de l’administrateur
Planification de votre déploiement
Configuration de votre organisation
1. Types d’identités | Présentation
2. Configuration d’identité | Présentation
3. Configuration d’une organisation avec Enterprise ID
4. Configuration et synchronisation de la fédération Azure AD
5. Configuration et synchronisation de la fédération Google
6. Configuration de l’organisation avec Microsoft ADFS
7. Mettre en place une organisation pour les portails de district et LMS
8. Configuration de l’organisation avec d’autres fournisseurs d’identité
9. Questions fréquentes et dépannage des erreurs liées à l’authentification unique
Gestion de la configuration de votre organisation
Gestion des utilisateurs
1. Présentation
2. Rôles administratifs
3. Stratégies de gestion des utilisateurs
4. Attribution de licences à un utilisateur de la formule Équipe
5. Gestion des utilisateurs depuis l’application pour les équipes
  1. Gestion de votre équipe dans Adobe Express
  2. Gestion de votre équipe dans Adobe Acrobat
6. Ajouter des utilisateurs avec des domaines de messagerie correspondants
7. Changement du type d’identité d’un utilisateur
8. Gestion des groupes d’utilisateurs
9. Gestion des utilisateurs d’un répertoire
10. Gestion des développeurs
11. Migration d’utilisateurs existants vers le portail Adobe Admin Console
12. Migration de la gestion d’utilisateurs vers le portail Adobe Admin Console
Gestion des produits et des autorisations
1. Gestion des produits et des profils de produit
2. Gestion des licences de périphériques partagés
Prise en main du portail Admin Console
Gestion des ressources et des espaces de stockage
1. Stockage
2. Migration des ressources
3. Récupération des ressources d’un utilisateur
4. Migration des ressources des étudiants | Établissements scolaires uniquement
  1. Migration automatique des ressources des étudiants
  2. Migration de vos ressources
Gestion des services
1. Adobe Stock
2. Polices personnalisées
3. Adobe Asset Link
4. Adobe Acrobat Sign
5. Creative Cloud abonnement Entreprise – abonnement gratuit
  1. Présentation
Déploiement des applications et des mises à jour
1. Présentation
2. Création de packs
  1. Création de packs d’applications via Admin Console
  2. Création de packs de licences nominatives
  3. Gestion des packs prégénérés
    1. Gestion des modèles Adobe
    2. Gestion des packs mono-applicatifs
  4. Gestion des packs
  5. Gestion des licences de périphérique
  6. Licences avec numéro de série
3. Personnalisation des packs
  1. Personnalisation de l’application de bureau Creative Cloud
  2. Ajout d’extensions dans un pack
4. Déploiement de packs
5. Gestion des mises à jour
  1. Gestion des changements pour les clients des abonnements Entreprise et Équipe d’Adobe
  2. Déploiement de mises à jour
6. Adobe Update Server Setup Tool (AUSST)
7. Adobe Remote Update Manager (RUM)
  1. Notes de mise à jour
  2. Utilisation d’Adobe Remote Update Manager
8. Résolution des problèmes
  1. Résolution des problèmes d’installation et de désinstallation d’applications Creative Cloud
  2. Interrogation des machines clientes afin de déterminer si un pack a été déployé
Gestion de votre compte Équipe
Renouvellements
1. Abonnement Équipe : renouvellements
2. Programme Enterprise in VIP : renouvellements et conformité
Gestion des contrats
Rapports et journaux
Obtenir de l’aide

Découvrez comment résoudre les erreurs d’authentification les plus fréquentes, vérifier vos configurations et dépanner les problèmes de connexion par Federated ID (SSO) dans les produits Adobe. Profitez de nos conseils pour corriger les erreurs SAML, les problèmes de certificat et d’autres soucis d’authentification.

Remarque :

Si votre organisation a configuré l’authentification unique avec la méthode de fédération de Google ou avec Microsoft Azure Sync, consultez les articles suivants :

Présentation

Après avoir configuré le SSO dans Adobe Admin Console, veillez à bien sélectionner Télécharger le fichier de métadonnées Adobe et à enregistrer le fichier de métadonnées XML SAML sur votre ordinateur. Votre fournisseur d’identité a besoin de ce fichier pour activer l’authentification unique. Importez correctement les détails de la configuration XML vers votre fournisseur d’identité (IdP). Ceci est requis pour l’intégration SAML avec votre IdP et garantira que les données sont correctement configurées.

Si vous avez des questions sur la façon d’utiliser le fichier de métadonnées XML SAML pour configurer votre IdP, contactez directement celui-ci pour obtenir des instructions. Celles-ci varient d’un IdP à l’autre.

Dépannage de base

Les problèmes liés à l’authentification unique sont souvent causés par des erreurs basiques qu’il est facile de laisser passer. En particulier, vérifiez les points suivants :

L’utilisateur est affecté à un profil de produit avec des droits.
Le nom d’utilisateur envoyé à SAML correspond à celui figurant dans le tableau de bord d’entreprise.
Vérifiez toutes les entrées d’Admin Console et de votre fournisseur d’identité, à la recherche d’éventuelles erreurs d’orthographe ou de syntaxe.
L’application Creative Cloud sur ordinateur a été mise à jour vers la dernière version.
L’utilisateur se connecte au bon emplacement (l’application pour postes de travail Creative Cloud, un produit Creative Cloud ou Adobe.com)

Solutions pour les autres erreurs fréquentes

Erreur « Une erreur s’est produite » avec le bouton « Réessayer »

Cette erreur se produit généralement après que l’authentification de l’utilisateur a réussi et qu’Okta a transmis avec succès la réponse d’authentification à Adobe.

Dans Adobe Admin Console, validez les éléments suivants :

Dans l’onglet Identité :

Assurez-vous que le domaine associé a été activé.

Dans l’onglet Produits :

Assurez-vous que l’utilisateur est associé au pseudonyme de produit correct et au domaine que vous avez déclaré être configuré en tant que Federated ID.
Assurez-vous que le pseudonyme du produit dispose des droits appropriés.

Dans l’onglet Utilisateurs :

Assurez-vous que le nom d’utilisateur se présente sous la forme d’une adresse e-mail complète.

Erreur « Accès refusé » au moment de la connexion

Causes possibles de cette erreur :

Le nom d’utilisateur ou l’adresse e-mail envoyés dans l’assertion SAML ne correspondent pas aux informations saisies dans Admin Console.
L’utilisateur n’est pas associé au bon produit ou le produit n’est pas associé au droit d’accès approprié.
Le nom d’utilisateur SAML apparaît comme autre chose qu’une adresse e-mail. Tous les utilisateurs doivent appartenir au domaine que vous avez réclamé dans le cadre de la procédure d’installation.
Votre client SSO utilise JavaScript dans le cadre du processus de connexion, et vous essayez de vous connecter à un client qui ne prend pas en charge JavaScript.

Résolution :

Vérifiez le nom et l’adresse e-mail de l’utilisateur dans Adobe Admin Console, et faites correspondre ces valeurs avec les attributs NameID et Email dans les journaux SAML.
Vérifiez la configuration du tableau de bord pour l’utilisateur : informations utilisateur et profil produit.
Exécutez une trace SAML et vérifiez que les informations envoyées correspondent au tableau de bord, puis corrigez les incohérences.

Erreur « Un autre utilisateur est actuellement connecté »

L’erreur « Un autre utilisateur est actuellement connecté » se produit lorsque les attributs envoyés dans l’assertion SAML ne correspondent pas à l’adresse e-mail qui a été utilisée pour démarrer le processus de connexion.

Réalisez une trace SAML et assurez-vous que l’adresse e-mail de connexion de l’utilisateur correspond à ce qui suit :

Adresse e-mail de l’utilisateur répertoriée dans Admin Console
Nom d’utilisateur renvoyé dans le champ NameID de l’assertion SAML

Erreur « L’émetteur dans la réponse SAML ne correspond pas à l’émetteur configuré pour le fournisseur d’identité »

L’émetteur IDP dans l’assertion SAML est différent de celui qui a été configuré dans le SAML entrant. Recherchez toute faute de frappe éventuelle (par exemple, http au lieu de https). Lorsque vous vérifiez la chaîne de l’émetteur IDP avec le système SAML du client, recherchez une correspondance EXACTE avec la chaîne fournie. Ce problème survient parfois parce qu’une barre oblique manquait à la fin.

Si vous avez besoin d’aide pour résoudre cette erreur, fournissez une trace SAML ainsi que les valeurs que vous avez entrées dans le tableau de bord Adobe.

Erreur « La signature numérique dans la réponse SAML n’a pas été validée avec le certificat du fournisseur d’identité »

Ce problème se produit lorsque le certificat de votre répertoire a expiré. Pour mettre à jour le certificat, vous devez télécharger ce dernier ou les métadonnées à partir du fournisseur d’identité, et les charger dans Adobe Admin Console.

Par exemple, procédez comme suit si votre IdP est Microsoft AD FS :

Ouvrez l’application AD FS Management sur votre serveur et dans le dossier AD FS> Service > Points de terminaison, sélectionnez Métadonnées de la fédération.
Utilisez un navigateur pour accéder à l’URL fournie par rapport aux métadonnées de fédération et téléchargez le fichier. Par exemple, https://<votre nom d’hôte AD FS>/FederationMetadata/2007-06/FederationMetadata.xml.

Remarque :

Acceptez tous les avertissements si vous y êtes invité.
Dans l’onglet Paramètres du portail Admin Console, accédez à Paramètres d’identité > Répertoires. Sélectionnez le répertoire à mettre à jour et cliquez sur Configurer sur la carte Fournisseur SAML.

Ensuite, chargez le fichier de métadonnées IdP et enregistrez.

Erreur « L’heure actuelle se situe avant la plage de temps spécifiée dans les conditions d’assertion »

Serveur IdP basé sur Windows :

1. Assurez-vous que l’horloge système est synchronisée avec un serveur de temps précis.

Vérifiez la précision de l’horloge système par rapport à votre serveur de temps avec cette commande ; la valeur de « décalage de phase » doit être une petite fraction de seconde :

w32tm /query /status /verbose

Vous pouvez provoquer une resynchronisation immédiate de l’horloge système avec le serveur de temps à l’aide de la commande suivante :

w32tm /resync

Si l’horloge système est correctement réglée et que l’erreur ci-dessus est toujours visible, vous devrez peut-être ajuster le paramètre de décalage pour augmenter la tolérance de différence entre les horloges côté serveur et côté client.

2. Augmentez la différence autorisée dans l’horloge système entre les serveurs.

Dans une fenêtre Powershell avec des droits d’administration, définissez la valeur de décalage autorisée sur 2 minutes. Vérifiez si vous pouvez vous connecter, puis augmentez ou diminuez la valeur en fonction du résultat.

Déterminez le paramètre de décalage actuel pour l’approbation de partie de confiance concernée à l’aide de la commande suivante :

Get-ADFSRelyingPartyTrust | Format-List -property Identifier,Name,NotBeforeSkew

L’approbation de partie de confiance est identifiée par l’URL indiquée dans le champ « Identifiant » de la sortie de la commande précédente pour cette configuration spécifique. Cette URL est également affichée dans l’utilitaire ADFS Management de la fenêtre de propriétés de l’approbation de partie de confiance concernée, sous l’onglet « Identifiants » du champ « Approbations de partie de confiance », comme illustré dans la capture d’écran ci-dessous.

Définissez le décalage sur 2 minutes à l’aide de la commande suivante, en remplaçant l’adresse d’identifiant en conséquence :

Set-ADFSRelyingPartyTrust –TargetIdentifier ’https://www.okta.com/saml2/service-provider/xxxxxxxxxxxxxxxxxxxx’ –NotBeforeSkew 2

Serveur IdP basé sur UNIX

Assurez-vous que l’horloge système est définie correctement à l’aide du service ntpd ou manuellement à l’aide de la commande ntpdate à partir d’un shell racine ou avec sudo, comme indiqué ci-dessous (notez que si l’heure est décalée de plus de 0,5 seconde, la modification ne se produira pas immédiatement, mais cela corrigera lentement l’horloge système). Assurez-vous que le fuseau horaire est également défini correctement.

# ntpdate -u pool.ntp.org

Remarque :

Cela fonctionne avec les fournisseurs d’identité tels que Shibboleth.

Erreur 401 : « Informations d’identification non autorisées »

Cette erreur se produit lorsque l’application ne prend pas en charge la connexion fédérée et qu’il faut y accéder avec un Adobe ID. FrameMaker, RoboHelp et Adobe Captivate sont des exemples d’applications avec cette condition.

Erreur « Échec de la connexion SAML entrante » avec le message « La réponse SAML ne contient aucune assertion »

Vérifiez le processus de connexion. Si vous pouvez accéder à la page de connexion à partir d’un autre ordinateur ou réseau mais pas en interne, le problème peut être une chaîne d’agent bloquant. En outre, exécutez une trace SAML et vérifiez que le prénom, le nom de famille et le nom d’utilisateur se trouvent dans l’objet SAML sous forme d’adresse électronique correctement formatée.

Erreur 400 (requête incorrecte)/« Échec du statut de la requête SAML »/« Échec de la validation de la déclaration SAML »

Confirmez l’envoi de l’assertion SAML adéquate :

Ne comporte pas d’élément NameID dans l’objet. Confirmez que l’élément Subject contient un élément NameId. Il doit être égal à l’attribut Email, qui doit correspondre à l’adresse e-mail de l’utilisateur que vous souhaitez authentifier.
Erreurs d’orthographe, en particulier celles qui passent facilement inaperçues comme https au lieu de http.
Vérifiez que le certificat correct a été fourni. Les IdP doivent être configurés pour utiliser des requêtes/réponses SAML non comprimées.

Un utilitaire tel que SAML Tracer pour Firefox peut aider à déballer l’assertion et à l’afficher pour contrôle. Si vous avez besoin de l’aide de l’assistance clientèle Adobe, ce fichier vous sera demandé. Pour en savoir plus, consultez la section Comment réaliser une trace SAML.

L’exemple fonctionnel suivant peut vous aider à composer correctement l’assertion SAML :

Telechargement

Obtenir un fichier

Exemple fonctionnel SAML

Avec Microsoft ADFS :

Chaque compte Active Directory doit posséder une adresse e-mail figurant dans Active Directory pour ouvrir une session (journal d’événements : La réponse SAML ne comporte pas NameId dans l’assertion). Vérifiez ceci en premier.
Accédez au tableau de bord.
Cliquez sur l’onglet Identité, puis sur le domaine.
Cliquez sur Modifier la configuration.
Localisez la liaison à l’IDP. Basculez sur HTTP-POST, puis enregistrez.
Vérifiez à nouveau l’expérience de connexion.
Si cela fonctionne mais que vous préférez la configuration antérieure, rebasculez tout simplement sur HTTP-REDIRECT et rechargez les métadonnées dans ADFS.

Avec d’autres IdP :

Si l’erreur 400 se produit, une connexion réussie a été refusée par votre IdP.
Recherchez la source de l’erreur dans vos journaux IdP.
Corrigez le problème et réessayez.

Erreur 403 (certificat non conforme)

Mettez le certificat à jour dans la console Google sous l’application SAML d’Adobe, puis rechargez les fichiers de métadonnées sur Adobe Admin Console.

Erreur 403 « app_not_configured_for_user »

Mettez à jour l’ID d’entité dans la console Google. Exportez ensuite le fichier de métadonnées et chargez-le sur Adobe Admin Console.

Erreur « Accès impossible pour le moment » ou « Accès impossible depuis ici »

En général, cette erreur survient lorsque l’organisation a activé une politique d’accès conditionnel dans son IdP.

Si vous déployez vos produits avec des packs gérés, créez un pack dans Adobe Admin Console en sélectionnant l’authentification basée sur un navigateur. Une fois le pack géré créé, déployez-le sur l’ordinateur de l’utilisateur.

Si vous ne passez pas par des packs gérés, vos utilisateurs peuvent ouvrir l’application de bureau Creative Cloud et sélectionner Connexion via le navigateur dans le menu Aide.

Erreur « Application non attribuée »

Si vous rencontrez cet erreur, votre administrateur devra ajouter les utilisateurs à l’application SAML d’Adobe qu’il aura créée dans son IdP. Découvrez comment réer une application SAML pour Adobe dans la console d’administration de Google ou sur le portail Microsoft Azure.

Erreur « Vous n’avez pas accès à ce service. Contactez votre administrateur informatique pour obtenir un accès ou connectez-vous avec un Adobe ID. »

Vérifiez vos journaux SAML. Le nom ou l’adresse e-mail de l’utilisateur fourni dans l’assertion SAML ne correspond pas aux informations saisies dans le portail Admin Console.

Adobe

Recevez de l’aide plus rapidement et plus facilement

Nouvel utilisateur ?